mongodb atlas whitelist에 0.0.0.0을 넣어도 연결이 안될 때

📌 상황

Node.js 프로젝트에서 mongoose를 통해서 mongodb atlas에 연결을 하려고 했는데, whitelist 에러 발생.

하지만 이미 whitelist에 0.0.0.0/0으로 모든 IP를 허용해놓은 상태.

Could not connect to any servers in your MongoDB Atlas cluster.
One common reason is that you're trying to access the database from an IP that isn't whitelisted.
Make sure your current IP address is on your Atlas cluster's IP whitelist

 

이 문제를 해결하기 위해서 시도한 방법들을 차례로 적어보았다.

 

1. 첫 번째 시도: 내 IP주소 직접 추가 ➡️ 실패

MongoDB Atlas 접근 허용 IP에 0.0.0.0/0 (전체 허용)이 이미 들어가있었으나 직접 내 IP 주소를 넣어주었다. 

하지만 여전히 연결은 안된다.

 

2. 두 번째 시도: MongoDB 연결 URI가 잘못되었는지 확인 ➡️ 실패

mongodb+srv://로 시작하는 MongoDB 연결 URI가 제대로 되어있는지 확인하기 위해서 아래 메뉴에서 URI 확인.

• MongoDB Atlas 홈페이지  > DATABASE > Cluters > Connect > Compass

기존에 가지고 있던 URI가 제대로 된 URI인 것 확인하고, 더블 체크를 위해서 MongoDB Compass에서 해당 URI로 연결을 시도해서 정상적으로 연결되는 것을 확인했다. 하지만 여전히 Node.js 프로젝트는 whitelist 에러를 띄우며 연결이 안되는 상황이다.

 

3. 세 번째 시도: mongoose 버전 업데이트 ➡️ 절반 성공

프로젝트에 설치된 mongodb와 mongoose 패키지 버전은 아래와 같다. 구글링을 하다보니 mongoose 버전을 안정화 버전인 8.1.1로 낮추면 DB 연결이 된다는 글을 발견했다.

"mongodb": "^6.16.0",
"mongoose": "^8.15.1",

참고 페이지: https://www.reddit.com/r/mongodb/comments/1g3y76a/getting_ip_error_for_mongodb_atlas_connection/

 

mongoose 버전을 8.1.1로 낮추니 Node.js 프로젝트에서 MongoDB 연결 성공!

하지만 문제가 있었다. mongoose 버전을 변경하니 저기 신경쓰이는 1 critical이 보인다. 원래 없던 critical 요소가 생겼다.

 

원인 파악을 위해 npm audit으로 상세 내역을 확인했다.

$ npm audit

 

로그에서 제시하는 깃허브 링크에 들어가서 보니 injection vulnerability에 대한 내용들이 적혀있다. 내용은 아래와 같다.

• mongoose의 search injection(검색 쿼리 조작 공격) 취약점
• 8.0.0-rc0 - 8.9.4 버전에 해당(8.1.1 버전도 여기에 속함)
• 실제 위험도는 사용 방식에 따라 달라진다.
• 실제 위험은 사용자 입력을 직접 mongoose 쿼리에 사용할 때 발생할 수 있다.

// 위험한 코드 (사용자 입력 직접 사용)
User.find(req.query); // ❌

// 안전한 코드 (입력 검증 후 사용)
const { name, email } = req.query;
User.find({ name, email }); // ✅

 

코드 상에서 사용자에게서 받은 데이터를 검증하고 사용하면 문제가 없다고 하지만 나중에 이것 때문에 문제가 발생할 수도 있으니 critical 요소를 완전히 제거할 수 있는 방법을 찾아다녔다.

 

4. 네 번째 시도: mongoose 연결 시 IPv4 사용 ➡️  성공

우선 가장 최신 버전인 mongoose 8.15.1로 다시 원복을 시켰다. 그리고 코드 상에서 mongoose 연결 시 IPv4를 사용하도록 하는 옵션을 추가해주었다.

// IPv4 강제 사용
mongoose.connect(process.env.DB_URI, {
  family: 4
});

 

맙소사 DB 연결이 됐다.

 

4-1. 왜 이런 현상이 나타났는가?

mongoose 8.15.1에서는 연결할 때 기본적으로 IPv6를 우선 시도한다. 하지만 일부 네트워크 환경에서는 IPv6 연결이 제대로 작동하지 않는다. MongoDB Atlas의 mongodb+srv://로 시작하는 주소가 IPv6로 해석될 때 연결이 실패된다.

• 8.1.1: IPv4 우선 또는 IPv6 처리가 덜 엄격 
• 8.15.1: IPv6 지원이 강화되면서 IPv6를 먼저 시도하는 경우가 많아짐

IPv6는 이론적으로는 지원되지만 가정용 인터넷과 기업 네트워크에서 실제 구현이 불완전하거나 방화벽에서 차단되는 경우가 많다. ISP에서 IPv6 DNS는 제공하지만 실제 라우팅이 제대로 안되어서 연결 시도는 하지만 타임아웃이 발생하는 상황이 빈번하다. 따라서 family: 4 옵션으로 검증된 IPv4 경로를 강제 사용하는 것이 연결 안정성 측면에서 낫다.

4-2. IPv4로 강제로 연결해도 보안 상 문제는 없는가?

family:4는 단순히 IPv4 프로토콜을 사용하겠다고 명시하는 것이고, IPv6 대신 IPv4로 연결하는 것 뿐이다. IPv4로 연결하도록 설정해도 보안에 문제는 없다.

이렇게 프로토콜을 변경해도 MongoDB Atlas 연결은 여전히 TLS/SSL로 암호화 되어있고, 사용자의 사용자명/비밀번호도 적용이 되어있고, whitelist 보안도 그대로 유지되기 때문이다. 오히려 mongoose 8.15.1으로 업데이트한게 더 최신 버전이라 보안 취약점이 더 개선되었다.